Patch Tuesday : Microsoft bouche cinq failles critiques, certaines liées à FREAK et Stuxnet
Mieux vaut tard que jamais...
Le 11 mars 2015 à 14h00
3 min
Logiciel
Logiciel
Après Apple, c'est au tour de Microsoft de mettre en ligne un correctif pour la faille FREAK. Il prend place dans le Patch Tuesday de l'éditeur, qui en profite pour boucher pas moins de cinq autres vulnérabilités jugées critiques. On y retrouve par exemple la faille 0-day du mois dernier d'Internet Explorer ainsi que... Stuxnet.
Hier, Apple publiait de nombreuses mises à jour pour ses différents systèmes d'exploitation : Apple TV, OS X et iOS. Point commun entre toutes les versions, elles s'occupent de combler la faille FREAK qui permet de forcer une connexion sécurisée entre serveur et navigateur avec une clé RSA sur 512 bits seulement, ce qui est loin d'être suffisant.
FREAK appartient au passée, la faille 0-day d'Internet Explorer aussi
C'est désormais au tour de Microsoft de faire de même via son Patch Tuesday. L'éditeur rappelle au passage que « tout système Windows qui utilise Schannel pour se connecter à un serveur TLS distant avec une suite de chiffrement non sécurisée est affecté ». Toutes les versions depuis Windows Server 2003 jusqu'à Windows 8.1 sont concernées par cette mise à jour pour FREAK.
Quoi qu'il en soit, cette faille n'est qu'à un indice de gravité « important » et ce lot de mise à jour en profite également pour boucher d'autres problèmes de sécurité, dont cinq « critiques », soit le plus haut niveau. On y retrouve ainsi une mise à jour cumulative pour Internet Explorer permettant d'éradiquer la brèche de sécurité de type 0-day dévoilée publiquement il y a un près d'un mois. Pour rappel, avec un site spécialement conçu pour et via un détournement de la fonction « Same-origin policy », elle permet d'accéder et de modifier les données d'un site tiers.
Quand on reparle de... Stuxnet
On peut également évoquer le cas particulier de la faille portant la référence CVE-2015-0096 qui est également bouchée par ce lot de mise à jour. Celle-ci est un peu particulière puisque, comme l'indique HP sur l'un de ses blogs, elle est liée à... Stuxnet, un malware qui date de près de cinq ans. Le fabricant indique que Microsoft avait déjà déployé un patch (MS10-046) en 2010. Problème : « le patch a échoué » indique HP. La société ajoute que « pendant plus de quatre ans, tous les systèmes Windows étaient vulnérables à exactement la même attaque que celle utilisée au départ par Stuxnet ».
Pour le reste, il est question de vulnérabilités qui pourraient permettre l'exécution de code à distance, notamment via le moteur de script VBScript ou bien Office. Pour connaitre la liste complète des correctifs appliqués, c'est par ici que ça se passe. Comme toujours, il est recommandé d'appliquer les mises à jour.
Patch Tuesday : Microsoft bouche cinq failles critiques, certaines liées à FREAK et Stuxnet
-
FREAK appartient au passée, la faille 0-day d'Internet Explorer aussi
-
Quand on reparle de... Stuxnet
Commentaires (45)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 11/03/2015 à 14h04
stuxnet : produit crée par leur propre pays !!!!
… peut être leur même équipe !!!!
GENIAL, allons encore plus loin , plus fort …. plus profonds !
Le comble de l’hallucinogène !!
Le 11/03/2015 à 14h06
MS m’a bien soulé avec ses màjs: 130 Mo (14 patchs) obligatoires puis ensuite encore 2 salves de majs sans redémarrage (mais avec redémarrage quand même histoire d’être sûr).
Le 11/03/2015 à 14h08
j’ai eu une tonne de màj liées à office 2013 " />
mais sinon pas de pb à signaler
Le 11/03/2015 à 14h10
Heureusement qu’on à la possibilité de virer ces mo/go de “sauvegarde windows update ” qu’ils l’appellent dans le nettoyage de disque.
Le 11/03/2015 à 14h11
Le 11/03/2015 à 14h54
Il y a des outils pour détecter si on est touchés par Stuxnet ?
Le 11/03/2015 à 14h56
Et le fait que Stuxnet soit “corrigé” une seconde fois au moment où doivent se conclure les accords USA-Iran sur le nucléaire est une pure coïncidence…
Le 11/03/2015 à 14h56
Quand on connait la provenance supposé de StuxNet, on peut comprendre pourquoi Microsoft n’était pas du tout pressé. Enfin je suis sûr qu’un Stuxnet 2 doit exister quelque part.
Le 11/03/2015 à 14h56
Ha! dommage, vous n’avez pas repris la citation de ZDNET :
“La technologie est en constante évolution, et il en va de même des tactiques et techniques des cybercriminels” répond Microsoft à The Register pour justifier la diffusion d’un nouveau correctif pour Stuxnet.
Ou comment traiter indirectement son propre gouvernement de criminels." />
Quand les USA vont-ils enfin se rendre compte qu’ils sont leur propre ennemi? " />
Le 11/03/2015 à 14h57
.. et toujours autant de faille présentes !!!!
(allez juste faire un tour sur le torMaket !!!)
Le 11/03/2015 à 14h58
Jamais. pas de ça chez nous
Le 11/03/2015 à 14h58
Demandes aux Iraniens …
Le 11/03/2015 à 14h59
oui backdoor.Regin … quoi que surement déjà dépassé …
Le 11/03/2015 à 15h00
J’aurais bien une direction, une “technique”, à vous suggérer mais bon … 80% des gens ne sont pas prêtes pour l’entendre ….
Le 11/03/2015 à 15h03
Le 11/03/2015 à 15h37
Le 11/03/2015 à 15h44
Ré-ouvrir le web, basculer en ipv6 et gérer le problème de fonds , le vrai et unique problème
http://pixellibre.net/2015/01/etat-est-il-son-propre-ennemi/
“Une politique de plus en plus sécuritaire, « pour votre sécurité ».” ?
Désolé je ne souscris plus à ce point de vue, comme Sting dans la magnifique chanson “Russian”
Je ne pense pas qu’on protégera nos enfants en continuant à cracher à la gueule des plus pauvres de la planète , à vendre des armes pour qu’ils s’entretuent et que les plus perfides continus de s’enrichir à l’inifini : le système qu’ils ont mis en place depuis des siècles ne peut que les enrichir et appauvrir les plus humbles, les plus tolérants.
“il est imprudent d’abaisser …. ta garde !!!!”
Eh bien si justement Manuel on va l’abaisser. pour partager avec tout le monde.
Une des pistes :http://www.le-message.org/?lang=fr
Le 11/03/2015 à 15h52
De plus , ce jeu des failles , des patchs sans fin : à quoi cela va nous mener ?
où ?
franchement je vois pas.
Le 11/03/2015 à 15h54
Le 11/03/2015 à 15h59
Le 11/03/2015 à 17h59
Pfff, je suis déçu, ledufa… et ma réaction première, en sous-titre, serait la même que celle des NXIens dans l’article à Free : tout ce bruit pour ça ?
Le 11/03/2015 à 19h09
Le 11/03/2015 à 19h46
Tu as oublié le compte à rebours de 15 minutes par défaut avant que Windows ne redémarre tout seul… Pour peu que tu t’absentes pendant ce temps, et donc sans le savoir bim le pc reboot. Pour peu aussi que pendant que la fenêtre s’affiche, t’appuie au même moment sur entrer (peu probable je le reconnaît) et hop t’as gagné un redémarrage ! " />.
Le 11/03/2015 à 19h56
Le 11/03/2015 à 22h10
Le 11/03/2015 à 22h19
Le 11/03/2015 à 22h28
Le mieux pour les uns n’est pas forcément le mieux pour d’autres… Le choix fait par Microsoft privilégie la rapidité d’application des correctifs. Une autre décision aurait amené encore plus de critiques… Et dans un environnement pro, désolé mais ça sa se configure. Maintenant si c’est Mme michu l’admin système…
Le 11/03/2015 à 22h42
Le 11/03/2015 à 22h58
le choix par défaut est pour la version grand public. Pour la pro je pense qu’il est présumé qu’il y a quelqu’un aux commandes. Mais définir par défaut une installation sans avertissement de correctif je trouve ça une idée dangereuse… vraiment je pense que le comportement actuel est le moins mauvais…
Mais bon. Bref aussi :-)
Le 12/03/2015 à 01h43
Bonjour,
J’ai un Windows Phone 8.1 (8.10.14219.341 avec Preview for Developers) et je n’ai pas de mise à jour disponible. Mon Mobile Internet Explorer 11 est toujours vulnérable à FREAK. Quelqu’un sait-il si il y a un correctif disponible ou un navigateur alternatif ?
Merci
Le 12/03/2015 à 09h35
Faudrait voir à changer de PC aussi, parce que quand ça dépasse une minute chez moi, c’est que j’ai 200 mises à jour à faire ! Même sur ma Surface 2 RT, ça ne prend pas plus de 10min !
Sinon, sous Windows 8.x, ça a changé. L’avertissement est discret (un texte orange sur l’écran de connexion) et est indiqué 3 jours à l’avance. Si après 3 jours le redémarrage n’a pas eu lieu, il est forcé.
Le 12/03/2015 à 09h56
Le 12/03/2015 à 10h00
C’est le problème chez beaucoup de gens qui ne se préoccupent pas plus que ça de leur machine…
Le 12/03/2015 à 10h30
Le 12/03/2015 à 10h37
Je pense que ça été volontairement le cas avec Vista et 7 pour que les gens comprennent que c’est important. Comme je l’ai dit plus haut, maintenant, ça n’est plus le cas sous 8.x et 10. Ca prévient juste que le PC redémarrera automatiquement dans 3 jours, et qu’il est donc conseillé de redémarré soi-même d’ici là.
Tu sais, je reboot plus souvent Ubuntu Server pour cause de mise à jour que Windows ! Evidemment, en mode serveur, il ne me crie pas dessus pour le faire (juste un message à la connexion), et d’ailleurs, il oublie de le demander une fois sur 2 (merci checkrestart !). Pour moi, je ne trouve pas ça mieux ailleurs.
Sous Ubuntu, tu as beau avoir dit que tu voulais télécharger les mises à jour durant l’installation, il en trouve 250 après, et il met un temps fou à installer même sur ma machine (bon, évidemment, il y a tous les logiciels) et bout du compte, il te demande rebooter " /> Par contre, tu peux l’ignorer totalement, ça restera pas mis à jour !
Le 12/03/2015 à 11h02
Le 12/03/2015 à 11h20
Le 12/03/2015 à 11h33
boston robitics…ça n’a pas fait tilté grand monde
Le 12/03/2015 à 11h35
Le 12/03/2015 à 12h11
Le 12/03/2015 à 12h29
L’analogie est correcte car les comportements demandés (l’entretien de la voiture/de l’ordi) sont les mêmes.
Tu n’as pas besoin d’éteindre le moteur pour vérifier le niveau d’huile. Mais il doit être éteint pour en rajouter, comme pour l’essence ou changer les pneus.
Tu n’as pas besoin non plus d’éteindre le PC pour vérifier que tu as des mises à jours mais tu dois le redémarrer pour la prise ne compte de celles-ci. Pour ce qui est par contre des pop up de mise à jour sous win XP/Vista/7 c’est une question de configuration. Et ça Mme Michu on ne lui a pas appris à le faire, alors qu’on lui a appris à régler ses rétros.
Le 12/03/2015 à 13h06
Le 12/03/2015 à 14h00
Le 12/03/2015 à 17h22
Update caca " />
http://krebsonsecurity.com/2015/03/ms-update-3033929-causing-reboot-loop/
Le 14/03/2015 à 17h53